🥇Sicherheitsanfälligkeit in NPM ermöglicht die Änderung beliebiger Dateien bei der Installation eines Pakets

In der Aktualisierung des Paketmanagers NPM 6.13.4, die Bestandteil von Node.js ist und zur Verbreitung von Modulen in JavaScript verwendet wird, wurden wurden drei Sicherheitslücken festgestellt (CVE-2019-16775, CVE-2019-16776 und CVE-2019-16777), die es ermöglichen, beliebige Systemdateien beim Installieren eines von Angreifern vorbereiteten Pakets zu modifizieren oder zu überschreiben. Ein möglicher Abwehrweg ist die Installation mit der Option „—ignore-scripts“, die die Ausführung integrierter Paket-Handler verbietet. Die NPM-Entwickler haben die im Repository vorhandenen Pakete analysiert und keine Hinweise darauf gefunden, dass die identifizierten Probleme für Angriffe ausgenutzt wurden.

CVE-2019-16777 zeigt sich in Versionen vor 6.13.4 und ermöglicht das Überschreiben von systemweiten ausführbaren Dateien während der globalen Installation eines Pakets. Es können nur Dateien im Zielverzeichnis ersetzt werden, in das die ausführbaren Dateien installiert werden (gewöhnlich /usr/local/bin).

CVE-2019-16775 und CVE-2019-16776 treten in Versionen vor 6.13.3 auf und ermöglichen das Schreiben beliebiger Dateien durch das Erstellen symbolischer Links zu Dateien außerhalb des Modulverzeichnisses (node_modules) oder durch Manipulationen im Feld bin in package.json (im Feld bin war die Verwendung von Pfaden mit „/../“ erlaubt).

Quelle: opennet.ru

Eine Schwachstelle in NPM erlaubt das Ändern beliebiger Dateien bei der Installation eines Pakets.